Nos atacó un ransomware: ¿qué hicimos y qué hicimos mal en las primeras 24 horas?

Mapear el NAS como una unidad de red con letra en Windows es el mayor error técnico. El sistema de backup debe estar totalmente aislado de la estructura de autenticación principal (Active Directory), usar un usuario independiente al que solo acceda el servicio de copias y estar configurado como inmutable (immutable).

No os saltéis el plazo de notificación oficial de 72 horas de la KVKK. Aunque no sepáis seguro si se han filtrado datos, rellenad el formulario de la web y enviad una notificación previa a la institución; si no, aunque recuperéis el sistema, os podéis comer sanciones administrativas muy graves más adelante.

Antes de restaurar esa copia de seguridad offline de hace 16 días, asegúrate de formatear e instalar todo el sistema desde cero. Los atacantes suelen colarse 2 o 3 semanas antes de activar el cifrado y se quedan esperando. Si ya estaban dentro cuando se hizo ese backup, en cuanto lo restores te vas a volver a encontrar todo cifrado.

A nosotros nos pasó hace dos años en nuestra empresa textil de 120 empleados. Un colega pagó el rescate por puro pánico; el descifrador vino defectuoso y la mitad de la base de datos no se pudo recuperar, así que se quedaron sin dinero y sin datos. Jamás os sentéis a negociar, aunque sea doloroso lo más seguro es volver al backup limpio que tengáis y picar a mano lo que se haya perdido por el camino.

En nuestro caso tuvimos una pérdida de datos de 10 días en la parte de facturas y albaranes. Ponemos a un equipo de 8 personas a trabajar día y noche durante 4 días para meter todo al sistema a partir de las facturas en papel. El coste directo para la empresa entre horas extra y pérdida de facturación fue de unos 350.000 TL, pero al menos no le regalamos ni un duro a los extorsionadores.

Leyéndote he vuelto a sentir el mismo estrés que pasé yo, lo siento muchísimo. Si no llega a ser por ese disco externo de la caja fuerte estabais a punto de tener que echar el cierre a la empresa. Se puede decir que habéis escapado por los pelos.

Resumen de respuesta rápida para un caso similar: 1) Aísla la red físicamente pero no apagues los servidores, 2) Ni se te ocurra conectar las copias offline a la red actual, 3) No restores el backup sin encontrar y cerrar antes la brecha de entrada, 4) Haz la notificación oficial a KVKK y a las autoridades correspondientes.

conectar el nas como si fuera un disco externo al pc es el típico error de pyme lamentablemente. o sea a nosotros nos pasó algo parecido y hasta q no nos pasamos a un sistema de backups inmutables en la nube no empezamos a dormir tranquilos.

correcto.

Llevé mucho tiempo con este asunto. Si la brecha de días entre la rotación de cuentas por cobrar y la de cuentas por pagar se amplía, el volumen de ventas no te salvará.

Yo también tengo curiosidad.

El camino que parece barato suele salir caro a la larga. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Yo seguiría por ese camino.

El punto que más se pasa por alto sobre ransomware es este: En el momento en que dependes de un solo cliente, no eres tú quien fija el precio.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Lo dejo como nota, por si sirve.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Recortar tu propio sueldo es una táctica temporal; si dura más de seis meses, algo se rompe.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Voy a defender lo contrario, no se molesten. Antes de decidir, mirad qué datos tenéis en la mano.

Yo seguiría por ese camino.

Hay una cosa a la que hay que prestar atención. la verdad si intentas cambiarlo todo a la vez nada termina de asentarse.

Al tomar decisiones escribe también el peor escenario no solo el mejor.

Me pasó lo mismo.

Estoy en la misma situación por eso pregunto. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Si tenéis dudas escribid, os responderé en la medida de lo posible.